Clientzertifikate für Authentifizierungsmethoden

Verwalten Sie mit der OIDC-Ressource für Clientschlüssel bis zu zwei Clientzertifikate für eine bestehende OpenID Connect Authentifizierungsmethode. Das primäre Zertifikat wird für die Clientauthentifizierung mit private key JWT verwendet. Mit einem sekundären Zertifikat können Sie einen Austausch vorbereiten, bevor Sie es zum primären machen.

Befolgen Sie die Hinweise zu Authentifizierung und Zugriff auf die Control API. Der Swagger-Vertrag definiert die aktuellen Operationen, Anfragefelder und Antworten.

Zertifikate importieren und ersetzen

Importieren Sie eine PKCS#12-Datei (.p12 oder .pfx), die das Zertifikat und seinen privaten Schlüssel enthält. Geben Sie bei Bedarf das Passwort an. Ungültige Dateien, falsche Passwörter und fehlende private Schlüssel werden vor dem Speichern zurückgewiesen.

Importe betreffen standardmäßig die primäre Position. Setzen Sie isPrimary auf false, um das sekundäre Zertifikat hinzuzufügen oder zu ersetzen; ein primäres Zertifikat muss bereits vorhanden sein. Beim Ersetzen eines Zertifikats bleibt das andere erhalten.

Das Lesen oder Importieren über die Ressource für Clientschlüssel liefert öffentliche Informationen zu beiden Zertifikaten einschließlich ihrer externen Namen. Private Schlüssel werden nicht zurückgegeben. Mit den Hilfsfunktionen zum Lesen von Zertifikaten können Sie eine Datei vor dem Import prüfen.

Ein Clientzertifikat rotieren

  1. Importieren Sie das Ersatzzertifikat als sekundäres Zertifikat.
  2. Registrieren Sie dessen öffentliches Zertifikat beim externen Identitätsanbieter.
  3. Wählen Sie mit der Aktualisierungsoperation den externen Namen des sekundären Schlüssels als primär. Das bisherige primäre Zertifikat wird sekundär. Wenn Sie den aktuellen primären Schlüssel erneut auswählen, bleibt die Reihenfolge unverändert.
  4. Entfernen Sie das alte sekundäre Zertifikat, wenn es nicht mehr benötigt wird.

Beim Löschen des primären Zertifikats wird das verbleibende sekundäre Zertifikat primär. Wird das einzige Zertifikat gelöscht, hat die Authentifizierungsmethode kein Clientzertifikat mehr für private key JWT.